Um ataque cibernético sem precedentes no Brasil atingiu a infraestrutura da empresa C&M Software, responsável por conectar instituições financeiras de pequeno porte ao sistema do Banco Central (BC). A invasão permitiu o desvio de cerca de R$ 800 milhões de contas de oito instituições financeiras, em um episódio já considerado o maior da história envolvendo o sistema bancário operado pelo BC.
A ação dos criminosos interrompeu o acesso de 22 bancos, cooperativas, instituições de pagamento e sociedades de crédito ao Pix. Isso ocorreu porque o BC, ao ser informado do ataque, determinou o desligamento imediato da conexão da C&M aos seus sistemas, medida de contenção que deixou os clientes dessas instituições sem acesso à plataforma de pagamentos instantâneos. O BC garantiu que seu próprio sistema não foi violado e que o Pix continua funcionando normalmente para o restante do mercado.
Como o ataque foi possível?
Fontes próximas ao caso afirmam que os invasores exploraram brechas de segurança na C&M e se aproveitaram de controles internos considerados frágeis em algumas das instituições afetadas. De forma sofisticada, o grupo teria usado credenciais legítimas de clientes para acessar indevidamente os sistemas e movimentar recursos de forma fraudulenta.
A C&M Software prestava serviços para instituições que não possuem conexão direta com o Sistema de Pagamentos Brasileiro (SPB), atuando como ponte tecnológica entre esses bancos e o Banco Central. O ataque permitiu que hackers tivessem acesso a contas de liquidação no próprio BC, usadas nas transações entre instituições, não se tratava de contas de clientes finais.
O Banco Paulista foi uma das instituições impactadas. Em nota, afirmou que a falha partiu de um provedor terceirizado, sem comprometer dados sensíveis de clientes. Já a BMP, outra envolvida, declarou que os valores desviados estavam em contas-reserva no BC e que nenhum recurso de clientes foi afetado. Segundo a empresa, há garantias suficientes para cobrir o prejuízo sem impactos à operação.
Reações e impactos no setor financeiro
A C&M confirmou o ataque e afirmou colaborar com as investigações conduzidas pelo Banco Central, Polícia Federal e Polícia Civil de São Paulo. Segundo o diretor comercial da empresa para o g1, Kamal Zogheib, os sistemas críticos seguem íntegros e operacionais, apesar da ação criminosa.
Para especialistas em segurança da informação, como Pedro Diógenes, da empresa CLM, o ataque foi “muito sofisticado” e revela a necessidade urgente de revisão dos protocolos de acesso e segurança entre instituições financeiras e seus provedores terceirizados. Já Augusto Barros, diretor do Instituto de Defesa Cibernética (IDCiber), acredita que o episódio deve resultar em regulamentações mais rígidas por parte do BC.
“Acredito que o grande impacto será no próprio setor, que deverá buscar mitigar os riscos com mais efetividade”, avalia Barros.
Enquanto isso, instituições afetadas buscam novas soluções para retomar o acesso ao sistema do BC. O caso levanta um sinal de alerta sobre a dependência de intermediários tecnológicos e reforça a importância da cibersegurança em tempos de digitalização acelerada do setor financeiro.
